Log for Ubuntu 台灣社群
Microsoft 刪除了我的帳號，也刪除了 OneDrive 雲端硬碟中的內容 （★ 54 分）
Joshua Khane 在 X 發文指控，Microsoft 在確認他是帳號持有人、且帳號曾遭入侵後，仍刪除了他的 Microsoft 帳號與 OneDrive 雲端硬碟內容。他表示，自己 25 年來累積的資料、價值數千歐元的遊戲與購買紀錄，以及兒子的嬰兒照片全都消失，並質疑 Microsoft 為何無法恢復遭入侵的帳號，最後反而選擇永久刪除資料。這篇貼文未提供完整的客服往來或刪除流程，因此目前主要呈現的是當事人的指控與憤怒。
討論中最一致的結論是：雲端同步或雲端服務不能視為唯一的備份。留言者指出，即使是企業版 Microsoft 365（M365，微軟的訂閱式辦公與雲端服務），備份功能也可能需要另外付費；一旦帳號遭停權、服務商出錯或公司停止營運，使用者可能同時失去檔案與取回管道。多數人建議採用 3-2-1 備份原則，也就是保留 3 份副本、使用 2 種不同媒介，並將其中 1 份放在異地，最好再保留離線硬碟或其他不會隨雲端同步一併刪除的副本。
不少留言也將事件延伸到數位內容的所有權問題。有人分享 Microsoft 帳號遷移期限過後失去 Minecraft 遊戲，甚至被要求重新購買；另有留言提到，巴西法院曾要求 Microsoft 恢復玩家帳號與數位遊戲收藏。討論者認為，購買遊戲或電影通常取得的是有限授權，而非真正所有權；DRM（數位版權管理）甚至可能讓實體光碟也必須通過線上驗證才能使用。因此，實體媒介不必然安全，真正關鍵在於內容是否能以不受特定帳號或服務商控制的形式保存。
留言者普遍認為，為了防止遭入侵而暫時鎖定帳號可以理解，但把帳號內的個人資料、遊戲購買紀錄與非敏感內容全部永久刪除，卻不提供資料匯出、帳號替換、恢復購買紀錄或退款方案，難以接受。也有人指出，Microsoft 的服務條款可能把帳號與數位內容定義為可撤銷的使用權，而非使用者財產；不過，這種法律安排不代表處理方式合理。由於當事人以歐元消費，部分留言建議他聯絡 Microsoft 的 GDPR（一般資料保護規則）法律窗口，但是否違法仍取決於帳號所在地、刪除原因與相關紀錄。
👥 52 則討論、評論 💬
https://news.ycombinator.com/item?id=48911452
Joshua Khane 在 X 發文指控，Microsoft 在確認他是帳號持有人、且帳號曾遭入侵後，仍刪除了他的 Microsoft 帳號與 OneDrive 雲端硬碟內容。他表示，自己 25 年來累積的資料、價值數千歐元的遊戲與購買紀錄，以及兒子的嬰兒照片全都消失，並質疑 Microsoft 為何無法恢復遭入侵的帳號，最後反而選擇永久刪除資料。這篇貼文未提供完整的客服往來或刪除流程，因此目前主要呈現的是當事人的指控與憤怒。
討論中最一致的結論是：雲端同步或雲端服務不能視為唯一的備份。留言者指出，即使是企業版 Microsoft 365（M365，微軟的訂閱式辦公與雲端服務），備份功能也可能需要另外付費；一旦帳號遭停權、服務商出錯或公司停止營運，使用者可能同時失去檔案與取回管道。多數人建議採用 3-2-1 備份原則，也就是保留 3 份副本、使用 2 種不同媒介，並將其中 1 份放在異地，最好再保留離線硬碟或其他不會隨雲端同步一併刪除的副本。
不少留言也將事件延伸到數位內容的所有權問題。有人分享 Microsoft 帳號遷移期限過後失去 Minecraft 遊戲，甚至被要求重新購買；另有留言提到，巴西法院曾要求 Microsoft 恢復玩家帳號與數位遊戲收藏。討論者認為，購買遊戲或電影通常取得的是有限授權，而非真正所有權；DRM（數位版權管理）甚至可能讓實體光碟也必須通過線上驗證才能使用。因此，實體媒介不必然安全，真正關鍵在於內容是否能以不受特定帳號或服務商控制的形式保存。
留言者普遍認為，為了防止遭入侵而暫時鎖定帳號可以理解，但把帳號內的個人資料、遊戲購買紀錄與非敏感內容全部永久刪除，卻不提供資料匯出、帳號替換、恢復購買紀錄或退款方案，難以接受。也有人指出，Microsoft 的服務條款可能把帳號與數位內容定義為可撤銷的使用權，而非使用者財產；不過，這種法律安排不代表處理方式合理。由於當事人以歐元消費，部分留言建議他聯絡 Microsoft 的 GDPR（一般資料保護規則）法律窗口，但是否違法仍取決於帳號所在地、刪除原因與相關紀錄。
👥 52 則討論、評論 💬
https://news.ycombinator.com/item?id=48911452
我好奇的問一下，我知道以前的Ubuntu Desktop可以配置LVM（沒記錯22.04還是可以的），現在的Ubuntu Desktop的圖形安裝器我沒法手動掛載LVM分區，難道只能用Ubuntu Server配置LVM、先安裝系統，再補上ubuntu-desktop嗎？還是有辦法在Ubuntu Desktop的Live CD裡面配置並手動掛載LVM？我不排斥在live CD裡面用終端機，主要是我Google了好一段時間，看到的解法基本是使用Server版安裝。Ubuntu不支持btrfs掛載就算了，反正Debian需要在busybox下手動掛載，但總不能叫我任意放棄手邊配置好、有資料的LVM分區吧？
額外的分區. 習慣上會裝完再掛. 除非有資料要在安裝時就讀取...
但你說你連聯網都不想. 表示比較想用原生CD.....那不如都等一切安裝好. 重開完再處理其他disk /part/lvm?
但你說你連聯網都不想. 表示比較想用原生CD.....那不如都等一切安裝好. 重開完再處理其他disk /part/lvm?
TS-2026-009：Tailscale SSH 的不安全參數處理可導致取得 root 權限 （★ 101 分）
Tailscale 公布的 TS-2026-009 是一項涉及 Tailscale SSH 的權限提升漏洞。Linux 主機上的 Tailscale SSH 先前接受以連字號（-）開頭的使用者名稱，並將名稱傳給 getent（Unix/Linux 用來查詢系統帳號資料的工具）。攻擊者若以 -i 作為登入名稱，getent 可能將其解讀為 --no-idn 選項，輸出整份 passwd 帳號檔案；由於內容從 root 帳號開始，Tailscale SSH 便錯誤開啟互動式 root 工作階段，使原本受限於非 root 權限的使用者繞過 ACL（Access Control List，存取控制清單）。
受影響的是在 Linux 主機上使用 Tailscale SSH，且以 autogroup:nonroot 規則限制 root 登入的環境。只要使用者原本已獲得該節點的 SSH 存取權，就可能以 -i 作為使用者名稱取得 root 權限。Tailscale 現已拒絕以連字號開頭的名稱，並在 1.98.9 及更新版本中修正問題；使用 Tailscale SSH 的管理者應升級所有相關節點。
Hacker News 討論指出，這屬於歷史悠久的指令列參數混淆與注入類型問題。多位留言者認為，單純禁止連字號開頭的名稱雖能阻止目前的攻擊，卻像是快速止血措施；更根本的作法應避免把使用者輸入直接傳給外部指令，改用 libc（C 標準函式庫）的 getpwnam(3) 等帳號查詢函式，或在不傳入使用者參數的情況下執行 getent，再自行解析結果。也有人指出，使用「--」分隔選項與參數在不同版本的 getent 上未必具備一致的可攜性，因此實作上仍需在安全性與 Linux 發行版相容性之間取捨。另一方面，限制特殊名稱也被視為防禦縱深，可避免未來相似錯誤再次出現。
留言者也關注 Tailscale SSH 為何具備開啟 root 工作階段的能力。討論中的解釋是，Tailscale SSH 並非單純將網路連線交給一般 OpenSSH，而是由 Tailscale ACL 規則管理、可代表不同系統帳號登入的包裝層；要完成這類功能，底層服務通常必須以 root 身分執行，因此也同時擁有 root 登入能力。若只使用 Tailscale 作為 VPN，再交由一般 OpenSSH 處理登入，便不會經過這次受影響的 Tailscale SSH 包裝層，但 OpenSSH 本身的權限與設定仍須妥善管理。
這起事件也引發對工具取捨的討論。部分使用者偏好 OpenSSH 長期累積的安全紀錄，另一些人則認為 Tailscale SSH 能集中管理權限、方便撤銷存取，對離線或分散部署的主機很實用；也有人選擇自架 WireGuard，或使用 Headscale（Tailscale 相容的自架控制伺服器）避免依賴第三方服務。至於公告採用 Tailscale 自有的 TS 編號而非 CVE（Common Vulnerabilities and Exposures，常見漏洞與暴露）編號，留言者認為自行發布可掌握揭露時程、降低通報機構的行政負擔；但安全掃描與合規工具通常較仰賴 CVE，後續取得正式編號仍可能有實務價值。
👥 42 則討論、評論 💬
https://news.ycombinator.com/item?id=48915004
Tailscale 公布的 TS-2026-009 是一項涉及 Tailscale SSH 的權限提升漏洞。Linux 主機上的 Tailscale SSH 先前接受以連字號（-）開頭的使用者名稱，並將名稱傳給 getent（Unix/Linux 用來查詢系統帳號資料的工具）。攻擊者若以 -i 作為登入名稱，getent 可能將其解讀為 --no-idn 選項，輸出整份 passwd 帳號檔案；由於內容從 root 帳號開始，Tailscale SSH 便錯誤開啟互動式 root 工作階段，使原本受限於非 root 權限的使用者繞過 ACL（Access Control List，存取控制清單）。
受影響的是在 Linux 主機上使用 Tailscale SSH，且以 autogroup:nonroot 規則限制 root 登入的環境。只要使用者原本已獲得該節點的 SSH 存取權，就可能以 -i 作為使用者名稱取得 root 權限。Tailscale 現已拒絕以連字號開頭的名稱，並在 1.98.9 及更新版本中修正問題；使用 Tailscale SSH 的管理者應升級所有相關節點。
Hacker News 討論指出，這屬於歷史悠久的指令列參數混淆與注入類型問題。多位留言者認為，單純禁止連字號開頭的名稱雖能阻止目前的攻擊，卻像是快速止血措施；更根本的作法應避免把使用者輸入直接傳給外部指令，改用 libc（C 標準函式庫）的 getpwnam(3) 等帳號查詢函式，或在不傳入使用者參數的情況下執行 getent，再自行解析結果。也有人指出，使用「--」分隔選項與參數在不同版本的 getent 上未必具備一致的可攜性，因此實作上仍需在安全性與 Linux 發行版相容性之間取捨。另一方面，限制特殊名稱也被視為防禦縱深，可避免未來相似錯誤再次出現。
留言者也關注 Tailscale SSH 為何具備開啟 root 工作階段的能力。討論中的解釋是，Tailscale SSH 並非單純將網路連線交給一般 OpenSSH，而是由 Tailscale ACL 規則管理、可代表不同系統帳號登入的包裝層；要完成這類功能，底層服務通常必須以 root 身分執行，因此也同時擁有 root 登入能力。若只使用 Tailscale 作為 VPN，再交由一般 OpenSSH 處理登入，便不會經過這次受影響的 Tailscale SSH 包裝層，但 OpenSSH 本身的權限與設定仍須妥善管理。
這起事件也引發對工具取捨的討論。部分使用者偏好 OpenSSH 長期累積的安全紀錄，另一些人則認為 Tailscale SSH 能集中管理權限、方便撤銷存取，對離線或分散部署的主機很實用；也有人選擇自架 WireGuard，或使用 Headscale（Tailscale 相容的自架控制伺服器）避免依賴第三方服務。至於公告採用 Tailscale 自有的 TS 編號而非 CVE（Common Vulnerabilities and Exposures，常見漏洞與暴露）編號，留言者認為自行發布可掌握揭露時程、降低通報機構的行政負擔；但安全掃描與合規工具通常較仰賴 CVE，後續取得正式編號仍可能有實務價值。
👥 42 則討論、評論 💬
https://news.ycombinator.com/item?id=48915004
我主要是想要在livecd下將系統裝到LVM分區裡面，最好是不用連網下載套件（像是桌面環境、Linux內核之類的，直接用livecd現成的就好），可能會偏向2.吧
主要是我看到一堆教學都是需要到官方下載很大的系統鏡像，我已經花時間下載了，不大想要花時間龜速下載我需要的文件（之前Debian的網路安裝就因爲網路不穩而使得我系統裝到一半掛了）
可以，先
mount -o loop -t iso9660 把 iso 掛起來，然後用 file:// 指過去就可以了。視情況可能需要 `--no-check-sig`。你可以先試著把 iso 掛起來後加到 sources.list 裡沒有的話，我在用的部份設定像這樣，找個空目錄執行就會解開了
echo H4sIAAAAAAAAA+0ZaWsbR9Sf91dMZRNbkD0tyXGMUgox9EOThroXJEFe7c5qB+3l3VlbsmNIL3I0FFrSUEKhhEIIhSa00CTFOX5MZcf51L/QNzurXSmWbIfGNqV6YO3OzJt3z3tv1qa/4jm+btZI5EuRPXYQoADMzJTZU50pK71PBqWSOjOmljVNU8uqqsC8Oq1q5TGkHIg0r0AcUT1EaCz0PZfsgrfX+n8Uxt+S4yiU68ST63pkC4IVewYlvodMp2biOtG9qSJaExCA4xu6gwAN1+LQ6ZlaxmG1MKEW0DgCa9YdfBxRHFHiNRIkA3agwgRgFRDxkikGHLWYjRl0iVcLNqXBSVm2aCDRFYlLIvlhQ+avomHKRhyG2KOiQ5axrLtmpSRDFIt2ux4SUy70EZ6by4apaLsxjoCzYRJXb+Be1umUvIJx02knfMV6TBwz2id7HOlGr930EEhTsJ3GbNfwfBdM1zThx2mxX4N4nu76Hhsv0ePI1SnMtqwW/IL5PFMPzYReZBOLziW/Qg8Dk4Bj5KCFZQqGTE0nT6yBK9bZg/Nf57K6TUBHYgCugpcCp4MN20eihwqn00QBlkM2REoUu8giDpYkCfH94A4HiaVo4T2gsNY16PrCu++UVW3hozMLBST6bAmor8v5tHR2/pMCunQpjbKMa8HSgb4p5ZYMMY1DD6nJxHoun+l7WOLyEgudP49EawCfArp4cQ5RG+chCNiGGyAxGog+RNRXaOTynvWRh1dQEiPI8mOvV/ZEfnewZAnZfkyuqZJNWkRIHz3utTwInalGiMFnSQCKuU8vXJAgGi9MDFUDXUL6ShNNrgUh8Sia0NYni6nTVxqYItEAZ76f7Z5Ys7z1Qp9n06kBnusGC9rpwn2Z4BVH90fixzgkVpvFoWFjowmBmMfglGGm4YuOHYNToQN5FqlMGZHAAQux6JIoYrv7mRfRKQQHZFn2YsdB2qlj6psKyakMOROunypTar5FQ91geQk1cehhJ9eJwcwqaiFR93UgYHnghiTnLbsO8eLVwh6i7yL+DhVyNQapMkxk4hEamvsROcUkbuPopWbpK2pHFLv7kbwHO1qKIQNa0aGowIZFRjdFn3ibazWODAfrXhzw5L089JwPSG3Jlv6jyA+zAIeNS3wu9A3MD8rppGyk9ZpXKTBYQcg6hL6lvfZDeRu8GxaG7k1r9kDmfWt7UtjJvmdFOOp27NChEcZ1ybAaB8mDNfmVUmlY/6/NQM/P+v8yIKkK3BNUtTw9Per/DwPGIXdHrm8i1iAK2Qhah9lKRcknHN8P6rrRzGd4EizlE6tWlA/qNOwd4hbVhPS9sUp8QYigxTCxpccOrSrJiBIX+zGtagrcQnxoi2UWnDJ7jWS3LQWWxrc1rBbQwVV1VlNaqnJC6c4Gept1HdUmxkGXm+44tWViYj9jb7UoDt3uMIBLCrSBTLdGyHq2Gu/fOHP2I6qV1qwEeFnjx9gZvuOHNWgoXN2prtiEYrnuMAP1LtukYTvwR6vJmpzgCdiJcIrmYi+u9ZEy2tCh1514AEZOrcsPsFhHyPQhnu7UwHxBTDMVBbYZbkhhG00u8CQ7lWTJ4iSaTO9RPPmKyfRk96IHXUULda8LHENOMOTevgPVfZ9W2Qyo6wZQrcBTaCkmIHYUOBAdyMLUsKvpXU5VJHCZpFZmpVltOPUBhZa39knrsItYeW8BZWyA6pDgdyoOk7uqDesHpnRG+/VUzrYNU/jDtKLtcHZa6nbzdopyUO4eQH6fyg/Yuaf+/R7vaj/U5V0WB+LzHcRfU+/BXv+3+d8GY4qmbQRvopgMgT3qv6Jp0936r1Wmk/o/o1RG9f8wYDwp/Gj73q+b928L2EtyIpuqYmorAnsTQxb92VckgUWL6AfsI2GVP04maBEOl3F4nEf+CUmRoFyPo3OfznepJxuTo8SLa+tEpVYpidgicmQTt1UpSfD+/+vBjxI+mH/n9Jl5yTUPkEdy/ivDz3+5ouX9P8NT1ZIy+v5/KBAZIQko2vzuxtatK52Nh9s/33lx896L219u/fAALbJDv/j3kxvbV37ZvnOj8/z+1s0//7r8uSCoElpMemO36WGafDcW4UWEN2xQH4pw/tWZ4S0KmoS2rj3rPL7c2Xi69eO1re+vAhNOJD34i6jz+KfNbzY4W753UZiGfdevo+49leG8vPx7Lw6nX+J4WT1jiC/+uItMaPP1aAlNJZMvv7gH/IEzT0nbdz8D1TYf/QZ6gZpbV2+B2p2nz8EEm1897GzcQvy7OdvK01tRKIPqkmz2/99sEU312gjodh5/vf3kGtMRMJh9tx892Hz2bXGU3kYwghGMYAQjGMEIRjCCERwR/APr64E8ACgAAA== | base64 -d | tar zxvf -
Linux 核心不反對使用 AI 工具
Linus Torvalds 在核心郵件清單上強調，Linux 核心專案不是反對 AI 的專案，也從來不是一個「社會正義戰士」專案。AI 因為對社會產生日益增大的影響而受到越來越多爭議，Linux 核心作為大型開放原始碼專案，參與者中也有不少人持反對 AI 的立場。Linus 表示，如果有人想在核心推動反對 AI 的議題，那麼最好建立分支或離開。AI 是一項實用的工具，與 AI 相關的問題不在於它是否「有用」；它確實也可能為維護者帶來痛苦，但解決方式不是像鴕鳥一樣把頭埋進沙裡，而是確保 AI 工具確實能協助維護者。核心不會阻止開發者使用 AI 工具，而 AI 和人類的自然智慧一樣，都不完美。開放原始碼專案的社會意義從來都是附帶的，參與開放原始碼專案主要是為了取得更好的技術，而不是出於宗教信仰。核心專案的決策主要是以技術優勢為依據，而不是出於對新工具的恐懼。
• https://lore.kernel.org/all/CAHk-%3Dwi4zC%2BZe8e%2Bp3tMv8TtG_80KzsZ1syL9anBtmEh5Z40vg@mail.gmail.com/
Linus Torvalds 在核心郵件清單上強調，Linux 核心專案不是反對 AI 的專案，也從來不是一個「社會正義戰士」專案。AI 因為對社會產生日益增大的影響而受到越來越多爭議，Linux 核心作為大型開放原始碼專案，參與者中也有不少人持反對 AI 的立場。Linus 表示，如果有人想在核心推動反對 AI 的議題，那麼最好建立分支或離開。AI 是一項實用的工具，與 AI 相關的問題不在於它是否「有用」；它確實也可能為維護者帶來痛苦，但解決方式不是像鴕鳥一樣把頭埋進沙裡，而是確保 AI 工具確實能協助維護者。核心不會阻止開發者使用 AI 工具，而 AI 和人類的自然智慧一樣，都不完美。開放原始碼專案的社會意義從來都是附帶的，參與開放原始碼專案主要是為了取得更好的技術，而不是出於宗教信仰。核心專案的決策主要是以技術優勢為依據，而不是出於對新工具的恐懼。
• https://lore.kernel.org/all/CAHk-%3Dwi4zC%2BZe8e%2Bp3tMv8TtG_80KzsZ1syL9anBtmEh5Z40vg@mail.gmail.com/